Microsoft הפילה שוק פישינג דובר סינית שעמד מאחורי יותר ממיליארד הודעות
בצו של בית משפט פדרלי בארה״ב השתלטה Microsoft על דומיינים של YAM Store ושל ערכות הפישינג CoGUI ו-Iron Man, השביתה יותר מ-20 אלף חשבונות וחסמה יותר מ-100 אלף דומיינים.
TL;DR בקצרה
- המבצע, שהוכרז ב-14 באוקטובר, פגע בשלושה רכיבים של שוק פישינג דובר סינית: YAM Store, CoGUI ו-Iron Man.
- מאז ינואר 2026 נשלחו בעזרתם יותר ממיליארד הודעות ליותר מ-75 אלף ארגונים, מהן יותר מ-750 מיליון ללקוחות Microsoft.
- Iron Man הציעה ללקוחותיה יותר מ-2,300 תבניות שמתחזות לבנקים, לחברות שילוח, למשטרה ולרשויות מס.
- השוק מכר גם חשבונות Microsoft 365 שהושגו בעזרת דומיינים פגי תוקף של עמותות ומוסדות חינוך.
הודעת SMS על חבילה שלא נמסרה, מייל על אגרה שלא שולמה או התראה מהבנק על חשבון חסום. מאחורי רבות מההודעות האלה לא עומד נוכל בודד, אלא תעשייה שלמה שמוכרת את הכלים. ב-14 באוקטובר הודיעה Microsoft שהשביתה, יחד עם שותפים, שלושה רכיבים מרכזיים של שוק פישינג דובר סינית: YAM Store, CoGUI ו-Iron Man. לפי החברה, בעזרתם נשלחו מאז ינואר 2026 יותר ממיליארד הודעות זדוניות ליותר מ-75 אלף ארגונים ביותר מ-150 מדינות.
סופרמרקט לנוכלים: מה מכרו שם
לפי הפוסט של Microsoft, שלושת הרכיבים פעלו כשרשרת אספקה. YAM Store היה שוק שבו אפשר היה לקנות חשבונות Microsoft ו-Google מזויפים וכלים לגניבת סיסמאות. כדי לייצר את החשבונות, המפעילים קנו דומיינים פגי תוקף של עמותות ובתי ספר, בנו מחדש את האתרים כך שייראו פעילים, והשתמשו בזהות המשוחזרת כדי לקבל חשבונות Microsoft 365 ולמכור אותם. לפי BleepingComputer, הם גם ייצרו ארגונים פיקטיביים בעזרת כלי AI ואחסנו קבצים ב-SharePoint וב-OneDrive של סביבות שנפרצו.
CoGUI סיפקה אתרים והודעות מוכנים שמתחזים לחברות, לבנקים ולרשויות, ופעלה בעיקר נגד יפן וארה״ב. עד אמצע 2026 היא נדחקה בהדרגה לטובת Iron Man, שהציעה אלפי תבניות למיילים, להודעות ולאתרים, ובהן יותר מ-2,300 תבניות שמתחזות לבנקים, לרשתות קמעונאות, לספקי בריאות, לרשויות תחבורה, למשטרה ולממשלה. Microsoft מדגישה שהופעת שם של ארגון בתבנית לא אומרת שהמערכות שלו נפרצו. הפיתיונות מוכרים היטב: חבילה שלא נמסרה, אגרה או דוח תנועה שלא שולמו, חוב מס, התראה מהבנק ונקודות מועדון שעומדות לפוג.
הערכות כללו גם כלים להתחמקות מזיהוי, כמו הצגת העמוד הזדוני רק לגולשים ממדינה מסוימת, סינון לפי כתובת IP ומסכי CAPTCHA מזויפים. לפי CyberScoop ו-BleepingComputer, הן ניצלו גם פישינג בקוד מכשיר (device code phishing): הקורבן מתבקש להקליד קוד בעמוד ההתחברות האמיתי של Microsoft, ובלי לדעת מאשר בכך למכשיר של התוקף גישה לחשבון. השיטה הזו עוקפת סיסמה, ולפעמים גם אימות דו-שלבי, כי הקורבן עצמו הוא שמאשר את הכניסה.
איך מפילים שוק כזה
החקירה התחילה בסוף 2025, אחרי שמשטרת יפן התריעה בפני Microsoft על גל הונאות נגד תושבי המדינה. בעקבות צו של בית המשפט הפדרלי במחוז הדרומי של פלורידה, Microsoft וארגון שיתוף המידע של מגזר הבריאות Health-ISAC השתלטו על דומיינים שתמכו בשלושת השירותים והפנו אותם למקום אחר. Microsoft גם השביתה יותר מ-20 אלף חשבונות שקשורים ל-YAM Store, הסירה תשתיות שהתארחו אצלה וחוסמת יותר מ-100 אלף דומיינים ששימשו להתחזות ולהונאה. במבצע השתתפו גם Resecurity, Cloudflare, Oracle, Proofpoint ו-TRM Labs, ו-Microsoft העבירה מידע לשירות החשאי האמריקאי.
Resecurity, שהשיגה גישה לתשתית של Iron Man, מצאה 2,360 חבילות פישינג שמכסות 130 מדינות ואזורים, עם עדכונים עד 1 באוקטובר 2026. לפי Microsoft, המפעילים הרוויחו מהשירותים עשרות מיליוני דולרים. ״הודעת ההונאה היא לרוב החלק היחיד שהקורבנות רואים, והעסקים שמאחוריה הם מה שמאפשר אותה״, כתב סטיבן מסדה, מנהל היחידה לפשיעה דיגיטלית של Microsoft.
למה זה חשוב גם כאן
Microsoft לא פירטה את רשימת המדינות המלאה, אבל הנוסחה מוכרת היטב גם לישראלים: הודעה דחופה, סכום קטן לתשלום וקישור לעמוד שנראה רשמי. המשמעות של מבצע כזה היא שבלי הכלים המוכנים, נוכל מתחיל צריך לבנות לבד את התבניות ואת התשתית, וזה מעלה את המחיר. אבל זה לא סוף הסיפור. הורדת דומיינים לא מבטלת פרטי אשראי או גישה לחשבונות שכבר נגנבו, ושווקים כאלה נוטים לקום מחדש בשם אחר.
מה זה אומר עבורכם
- הודעה על תשלום קטן? אל תלחצו: היכנסו בעצמכם לאתר או לאפליקציה של חברת השילוח, הבנק או הרשות, ובדקו שם אם באמת יש חוב.
- הגנו על Microsoft 365: הפעילו אימות דו-שלבי או Passkeys לכל המשתמשים, והוסיפו כללי Conditional Access. אם אינכם משתמשים בהתחברות בקוד מכשיר, שקלו לחסום אותה.
- הגבילו רישום אמצעי אימות: בין ההמלצות שפורסמו לצד המבצע: לאפשר רישום של אימות דו-שלבי ו-Passkeys רק ממיקומים וממכשירים מוכרים, ולצמצם את מספר מנהלי המערכת הראשיים.
- למדו את העובדים על קודים: אף גורם לגיטימי לא יבקש מכם להקליד קוד בעמוד התחברות כדי ״לשחרר חבילה״ או ״לאמת חשבון״. אם מבקשים, זו כנראה הונאה.
- עמותה או מוסד חינוך? אל תוותרו על דומיין ישן שתוקפו עומד לפוג. דומיין כזה עלול להיקנות ולשמש להתחזות לארגון שלכם.
מה הלאה
לפי BleepingComputer, הסרת התשתית נמשכת יחד עם רשויות ביפן ועם החברות השותפות. Microsoft עוקבת אחרי המפעילים תחת השמות Storm-3119 ו-Storm-2990, ולא ציינה אם זוהו אנשים מסוימים או אם יוגשו כתבי אישום. כדאי להניח שההודעות לא ייעלמו, אבל הן עשויות להגיע בתבניות חדשות ובפחות כמות לזמן מה.
מקורות והרחבה
- Microsoft and partners disrupt vast Chinese-language phishing kit ecosystemCyberScoop
- Disrupting the service economy behind transnational cybercrime operationsMicrosoft On the Issues
- Global takedown hits network behind 1 billion phishing messagesBleepingComputer
- As phishing-as-a-service goes industrial, Microsoft takes down a marketplace behind 1 billion messagesCSO Online
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
